【首发】读取系统Change Journal，你的文件记录还藏得住吗？

1185384801 · 发表于 2021-6-14 13:51:41

前言：

Windows提供了几种方式对文件和目录进行监控，包括：FindFirstChangeNotification、ReadDirectoryChangesW、SHChangeNotifyRegister、变更日志(Change Journal)等。
- FindFirstChangeNotification函数，可以监控到目标目录及其子目录中所有文件的变化，但不能监控到具体是哪一个文件发生改变。
- ReadDirectoryChangesW 能监控到目标目录下某一文件发生改变，并且可以知道发生变化的是哪一个文件。（注意，FindFirstChangeNotification 和 ReadDirectoryChangesW 是互斥的，不能同时使用。）
- 但是：使用Windows API（ReadDirectoryChangesW）不能满足要求，如果变化量大又密集时，丢失通知现象很严重。
- 如果使用SHChangeNotifyRegister来监视文件变更的话，大部分用户文件操作可以被记录，但是部分系统操作将不会被记录。
于是，今天的这份源码将使用Change Journal来监视（查看）文件变更。

DeviceIoControl READ_USN_JOURNAL.e (31.34 KB, 下载次数: 402)

1185384801 · 发表于 2021-7-4 10:34:24

元老发表于 2021-7-3 21:56
不过我这边哪一项都符合,emmm

我检查了一下，确实编译出来可能出现崩溃的问题（概率出现）
原因检查如下：命令RtlMoveMemory_USN_RECORD在读USN_RECORD时没有检查最后一个内存页是否可读，如果不可读就会导致编译后的程序访问到不可读的数据，导致程序崩溃，解决方法如下：
在命令：捕获.PNG

RtlMoveMemory_USN_RECORD (l_UsnRecord, lstrcpyn_字节集 (pData, pData, 0) ＋ 8 ＋ l_accumulation, LocalSize_USN_RECORD (l_UsnRecord)) ' 继续读，直到读完一页的USN

之前加上命令：

.if (IsBadReadPtr (lstrcpyn_字节集 (pData, pData, 0) ＋ 8 ＋ l_accumulation, LocalSize_USN_RECORD (l_UsnRecord)) ≠ 0)
break ()

即可解决

xiaoheshang · 发表于 2023-1-30 11:13:12

我的代码中枚举的是E盘的数据，没有E盘的易友请自行更换为C盘等盘符！！！

哈师大 · 发表于 2022-10-16 19:12:45

强悍的一批啊

xiaoshumiao1136 · 发表于 2022-6-5 17:33:10

谢谢分享

深圳梦 · 发表于 2022-3-20 07:17:29

谢谢分享！

2313291647 · 发表于 2021-10-19 05:44:10

66666666666666666666666

土豆要不 · 发表于 2021-10-11 10:00:24

6666666666666666666

dzscuz · 发表于 2021-8-25 19:31:35

1185384801 发表于 2021-7-4 10:34
我检查了一下，确实编译出来可能出现崩溃的问题（概率出现）
原因检查如下：命令RtlMoveMemory_USN_RECOR ...

好厉害，向大神学习

CUTEGIRL · 发表于 2021-8-24 21:47:51

好强!!!!!!!!!!!!!

阿Q3 · 发表于 2021-8-20 01:44:33

过来学习一下,感谢分享。。。。。。

		自动登录	找回密码
密码			注册